关键漏洞信息 漏洞编号: Bug 750422 (CVE-2011-4085, CVE-2011-4085) 漏洞类型: Invoker servlets authentication bypass (HTTP verb tampering) 报告时间: 2011-11-01 03:55 UTC 状态: Closed ERRATA 优先级: low 严重性: low 影响产品: - JBoss Enterprise SOA Platform 5.2.0 - JBoss Enterprise Application Platform 5.1.2 - JBoss Enterprise Portal Platform 5.2.0 - JBoss Enterprise BRMS Platform 5.3.0 修复情况 相关RHSA通知: - RHSA-2011:1456: JBoss Enterprise SOA Platform 5.2.0 - RHSA-2011:1798: JBoss Enterprise Application Platform 5.1.2 (RHEL 6) - RHSA-2011:1799: JBoss Enterprise Application Platform 5.1.2 (RHEL 5) - RHSA-2011:1800: JBoss Enterprise Application Platform 5.1.2 (RHEL 4) - RHSA-2011:1805: JBoss Enterprise Application Platform 5.1.2 - RHSA-2011:1822: JBoss Enterprise Portal Platform 5.2.0 补丁说明 原因: 特殊构造的HTTP请求可以绕过Invoker servlets的第一层认证，因为访问限制仅适用于GET和POST。 修复措施: 从web.xml中移除特定HTTP方法的元素。 退化自: CVE-2010-0738